[发明专利]检测非法程序的方法和装置

权利要求书

1.一种检测非法程序的方法，其特征在于，所述方法包括：

确定内核空间中第一内核数据结构对应的第一读取函数和第二读取函数，其中，所述第一读取函数用于读取当前结构内容，所述第二读取函数用于读取初始结构内容，所述第一读取函数和所述第二读取函数位于所述内核空间中；

调用所述第一读取函数，获取所述内核空间中所述第一内核数据结构的当前结构内容，并且调用所述第二读取函数，获取所述内核空间中预先存储的所述第一内核数据结构的初始结构内容；

当所述第一内核数据结构的初始结构内容与所述当前结构内容不相同时，确定所述第一内核数据结构中存在非法程序。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取所述第一内核数据结构的标识，并获取内核数据结构的标识与内核数据结构类型的对应关系；

根据所述对应关系和所述第一内核数据结构的标识，确定所述第一内核数据结构所属的内核数据结构类型。

3.根据权利要求2所述的方法，其特征在于，所述确定内核空间中第一内核数据结构对应的第一读取函数和第二读取函数，包括：

获取内核数据结构类型与读取函数的标识的对应关系；

根据所述第一内核数据结构所属的内核数据结构类型以及所述内核数据结构类型与读取函数的标识的对应关系，确定所述第一内核数据结构所属的内核数据结构类型对应的两个读取函数的标识；

根据所述两个读取函数的标识中有第一标记的读取函数的标识，确定所述内核空间中第一内核数据结构对应的第一读取函数，并根据所述两个读取函数的标识中有第二标记的读取函数的标识，确定所述第一内核数据结构对应的第二读取函数，其中，所述第一标记用于指示读取函数用于读取当前结构内容，所述第二标记用于指示读取函数用于读取初始结构内容。

4.根据权利要求1至3任一所述的方法，其特征在于，所述方法还包括：

当确定所述内核空间中存在目标模块结构体时，确定所述目标模块结构体为非法程序，其中，所述目标模块结构体用于删除内核数据结构链表中的结点，所述结点是所述目标模块结构体在所述内核空间中能加载的内核数据结构的标识。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收目标系统调用，其中，所述目标系统调用用于指示进行非法程序检测；

当所述目标系统调用对应有预设标识时，确定进行非法程序检测。

6.根据权利要求1所述的方法，其特征在于，所述内核空间包括核心程序，所述核心程序运行在高于预设等级的权限上，拥有访问主机的硬件的所有权限。

7.一种检测非法程序的方法，其特征在于，所述方法包括：

确定内核空间中目标内核数据结构对应的目标读取函数，其中，所述目标读取函数用于读取当前结构内容，所述目标读取函数位于所述内核空间中；

调用所述目标读取函数，获取所述内核空间中所述目标内核数据结构的当前结构内容；

当所述目标内核数据结构的当前结构内容中存在预设结构时，确定所述目标内核数据结构中存在非法程序，其中，所述预设结构为用于执行非法处理的结构。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

获取所述目标内核数据结构的标识，并获取内核数据结构的标识与内核数据结构类型的对应关系；

根据所述对应关系和所述目标内核数据结构的标识，确定所述目标内核数据结构所属的内核数据结构类型。